[发明专利]基于大数据分析的APT监测防御平台的监测防御系统

说明书

技术领域

本发明涉及网络安全监测领域，尤其是一种基于大数据分析的APT监测防御平台的监测防御系统。

背景技术

在全球网络信息化程度高速发展的大背景下， 具备隐蔽性、渗透性和针对性的高级持续性威胁（APT, advanced persistent threat）对各类高等级信息安全系统造成的威胁日益严重，针对特定目标的 有组织的 APT 攻击日益增多国家、企业的网络信息系统和数据安全面临严峻挑战。例如，2008年中国长城网遭遇到美国国防部网络黑客的攻击渗透，被植入后门并窃取情报；2010年的“震网”。

经过多年的准备和潜伏，成功攻击了位于物理隔离 内网中的工业控制系统，迟滞了伊朗的核计划； 2011 年的“夜龙行动”窃取了多个跨国能源巨头公司的高度敏感内部文件；2012 年的超级病毒“火焰”成功获取了中东各国大量的机密信息。可以看出，APT攻击已经对各类关键信息基础设施安全造成巨大威胁，开展 APT 攻击防御工作刻不容缓。APT攻击防御工作中，攻击检测是安全防护和加固的前提和依据，也是 APT 攻击防御中最困难的部分，因此检测技术已成为当前 APT 攻击防御领域的研究热点。然而，从典型案例来看，APT 攻 击具有极强的隐蔽能力和针对性，传统的检测设备面对APT攻击大多束手无策。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于大数据分析的APT监测防御平台的监测防御系统，实现对检测区域内的所有网络设备的数据采集，并将采集的证据数据进行关联分析判断出潜在的APT攻击威胁。

本发明的目的是通过以下技术方案来实现的：一种基于大数据分析的APT监测防御平台的监测防御系统，其特征在于：它包括总取证中心和多个分取证中心，所述的总取证中心和多个分取证中心都包括前端数据采集平台、大数据挖掘分析平台和结果表示平台；前端数据采集平台的数据输出端与大数据挖掘分析平台的输出输入端相连，大数据挖掘分析平台的数据输出端与结果表示平台的数据输入端相连。

进一步限定，所述的前端数据采集平台的主机探针与网络探针分别对监测区域内的所有网络设备的终端证据采集和网络证据采集。

进一步限定，所述的终端证据采集包括终端信息记录、进线程记录、外设设备记录、端口信息记录、三方软件记录、磁盘数据操作记录和注册表信息记录。

进一步限定，所述的网络证据采集包括远程控制协议分析、分光数据获取、网络设备远程配置协议分析、标准协议分析、非标准协议分析、用户定制协议分析和未知协议分析。

进一步限定，所述的大数据挖掘分析平台包括行为数据分析模块、知识库和证据保全模块。

进一步限定，所述的知识库包括用户信息备案库、用户安全需求库、威胁模型库、行为风险法律法规库、行为法规库和用户规章库。

进一步限定，所述的行为证据关联分析模块将采集到的数据进行关联分析。

进一步限定，所述的行为数据分析模块进行IP关联、用户关联、时间关联、类型关联和结构关联并做出主机操作行为、网络通信行为、业务行为和远程服务行为的行为类型判断。

进一步限定，所述的知识库包括用户基础信息备案、授权行为白名单、非授权行为黑名单、取证策略、证据记录、行为风险标准、国家法律法规和自身监测防御系统的系统配置。

进一步限定，所述的证据保全模块包括数据存储单元和法规化处理单元，所述的数据存储单元进行数据的存储，法规化处理单元将数据进行统一标示、统一字段和统一格式。

本发明的有益效果是：实现对检测区域内的所有网络设备的数据采集，并将采集的证据数据进行关联分析判断出潜在的APT攻击威胁，对网络通信过程进行过滤阻断具有信息流检测与报警。建立黑名单与白名单，对不同对象进行分级被的监测，最后将分析结果进行呈现，并与知识库信息参考进行对比使其准确度更高。

附图说明

图1为本发明系统框架图； 图2为本发明取证系统部署示意图。

具体实施方式

下面结合附图进一步详细描述本发明的技术方案，但本发明的保护范围不局限于以下所述。

如图1所示，一种基于大数据分析的APT监测防御平台的监测防御系统，其特征在于：它包括总取证中心和多个分取证中心，所述的总取证中心和多个分取证中心都包括前端数据采集平台、大数据挖掘分析平台和结果表示平台；前端数据采集平台的数据输出端与大数据挖掘分析平台的输出输入端相连，大数据挖掘分析平台的数据输出端与结果表示平台的数据输入端相连。